Para ofrecer la mejor defensa contra el ransomware, un stack de seguridad debe cubrir los principales objetivos de los atacantes (el factor humano, la identidad digital y el endpoint/dispositivo administrado) y los dos pilares defensivos esenciales: la visibilidad centralizada y la recuperación de datos.

Educación de los empleados

Los empleados de las organizaciones siguen siendo uno de los puntos de entrada más comunes para los actores maliciosos: el factor humano interviene en el 60% de todas las brechas. Para que esta amenaza sea aún más peligrosa, la IA les ha dado a los atacantes una herramienta para tácticas de ingeniería social hiperpersonalizadas, desde un compromiso de correo electrónico empresarial (BEC) muy convincente hasta el emergente phishing de voz (vishing) con deepfakes. Otras tácticas, como el "push bombing" de MFA, también se aprovechan de la naturaleza humana para evadir los controles técnicos.

Sin embargo, las organizaciones pueden convertir esta vulnerabilidad de siempre en otra capa de defensa si educan a sus equipos. La época de las presentaciones anuales de capacitación en seguridad impulsadas por el cumplimiento quedó atrás. Hoy, la capacitación administrada en concientización de seguridad (SAT) ofrece lecciones continuas y atractivas que se basan en la investigación sobre el aprendizaje de adultos y en inteligencia de amenazas actual para lograr una mayor retención. Un stack integrado con SAT también puede ofrecer capacitación en el momento justo para convertir los errores de seguridad en oportunidades de aprendizaje.

Endpoints e identidades reforzados

Ahora que los endpoints y las identidades están en la primera línea, reforzar sus defensas de forma proactiva es esencial. Con el tiempo, las configuraciones y los permisos pueden desviarse, las cuentas de exempleados siguen activas, el software queda sin parches y surgen muchas otras vulnerabilidades que solo esperan ser explotadas. Huntress está ampliando la gestión de la postura con Managed ISPM para la configuración de identidades de Microsoft 365 y Google Workspace, y Managed ESPM para entornos Windows, con disponibilidad y alcance que hoy varían.

Protección de identidades

Mientras que ISPM ofrece la primera capa de protección de identidades, la detección y respuesta a amenazas de identidad (ITDR) parte de la base de que las identidades terminarán siendo comprometidas (por ejemplo, mediante credenciales robadas) y se enfoca en detectar estas intrusiones rápidamente. La realidad es que, en muchos ataques modernos, los hackers no entran por la fuerza: inician sesión. ITDR monitorea el comportamiento de las cuentas en busca de anomalías, como viajes imposibles o escalamientos de privilegios inusuales, y puede responder automáticamente exigiendo una "autenticación reforzada" adicional o deshabilitando una cuenta hasta que un analista humano pueda investigar.

El otro control de identidad innegociable es aplicar la autenticación multifactor (MFA) en todas partes. A pesar del auge de técnicas como el push bombing, MFA sigue siendo la forma más eficaz de prevenir la mayoría de los ataques de compromiso de cuentas. Para entornos de alto riesgo, se recomienda la MFA resistente al phishing que usa llaves de seguridad de hardware.

Detección y respuesta en endpoints

A veces, basta una laptop comprometida para desatar un ataque de ransomware devastador. Mientras que el antivirus tradicional (AV) busca archivos maliciosos conocidos, el ransomware moderno suele ser hecho a la medida o polimórfico, y cambia su código con cada ejecución. Los atacantes también usan malware sin archivos y técnicas living-off-the-land (LotL) para disfrazar su actividad. Esto exige herramientas de detección que monitoreen comportamientos, no firmas.

La detección y respuesta en endpoints (EDR) monitorea continuamente laptops, estaciones de trabajo y servidores en busca de señales sospechosas, por ejemplo, un PDF que abre PowerShell para ejecutar código de volcado de credenciales. Algunas herramientas EDR también pueden buscar puertas traseras ocultas y usar ransomware canaries que envían una alerta inmediata si comienza el cifrado. Luego, EDR puede aislar automáticamente el endpoint y terminar los procesos maliciosos mientras los analistas humanos investigan.

Registro y monitoreo centralizados

En un entorno moderno, los datos de seguridad están dispersos entre plataformas en la nube, servidores, firewalls y endpoints. El registro centralizado reúne todos estos datos en una única "fuente de verdad": la plataforma de gestión de información y eventos de seguridad (SIEM). SIEM te da una vista panorámica de tu entorno y conecta las señales para detectar ataques sofisticados que las herramientas individuales podrían pasar por alto. SIEM también aporta datos de registro valiosos para la investigación y el cumplimiento.

Resiliencia de los respaldos

Los respaldos siempre han sido la opción de seguridad en caso de un cifrado exitoso, y por eso los grupos de ransomware actuales atacan específicamente la infraestructura de respaldo. La tradicional regla de respaldo 3-2-1 ha evolucionado a 3-2-1-1-0, que consiste en:

• 3 copias de los datos: Los datos de producción originales y dos respaldos.
• 2 tipos de medios distintos: Guardar los respaldos en plataformas diferentes, como un dispositivo local y la nube.
• 1 copia fuera del sitio: Mantener una copia en otra ubicación geográfica para protegerte de desastres físicos.
• 1 copia inmutable: Esta es la incorporación más crítica. Un respaldo "inmutable" es de "escritura única, lectura múltiple" (WORM). No se puede modificar ni eliminar durante un período determinado, ni siquiera por un usuario con credenciales administrativas.
• 0 errores: Representa una recuperación verificada y probada. Un respaldo solo es un respaldo si sabes que funciona. "Cero errores" implica pruebas automatizadas y periódicas para asegurar que los sistemas realmente "arranquen" desde el respaldo cuando sea necesario.

Para las brechas que son reveladas por el atacante (es decir, para exigir un rescate), el tiempo de permanencia promedio es de apenas cinco días. Esa suele ser la ventana que tienen las organizaciones desde el momento en que un actor de amenazas compromete su entorno hasta el rescate. En muchos casos, los atacantes pueden desplegar payloads en cuestión de horas. Cada minuto que un atacante permanece dentro de tu red sin ser detectado es un minuto más para establecer persistencia, escalar privilegios, moverse lateralmente y ubicar las "joyas de la corona" antes de exfiltrar y cifrar datos y sistemas.

En este panorama de amenazas de movimiento rápido, la detección y respuesta veloces son esenciales. Veamos cómo una pila de seguridad por capas y coordinada permite lograrlo.

Detecta señales tempranas de intrusión

Supongamos que un atacante compra credenciales robadas a un agente de acceso inicial (IAB) para atacar la VPN de una empresa. ISPM ofrece la primera línea de defensa al garantizar que la cuenta tenga MFA robusta aplicada y sin privilegios administrativos permanentes. ITDR detecta comportamientos inusuales, como viajes imposibles o un dispositivo no reconocido, y emite automáticamente un desafío de verificación adicional o termina la sesión.

Limita el movimiento lateral

Si un atacante logra conseguir un punto de apoyo persistente, establecerá persistencia, escalará privilegios y se moverá lateralmente por la red para encontrar datos de alto valor o servidores de respaldo. Evitar esta propagación es clave para contener el "radio de impacto" de una brecha. Aquí es donde la microsegmentación se vuelve esencial. Segmentar una red ayuda a garantizar que, incluso si un atacante compromete la laptop de un empleado, quede aislado de los servidores.

EDR agrega una capa adicional. Si el atacante secuestra una herramienta administrativa para escanear la red, EDR detecta la actividad sospechosa y aísla el dispositivo comprometido.

Permite una contención rápida

El objetivo final de los atacantes de ransomware actuales es la extorsión doble (y a veces triple o cuádruple), generalmente alguna combinación de robar datos, cifrarlos y exigir un pago para no filtrarlos o para descifrarlos.

A menudo, el actor de amenazas primero "prepara" los datos para la exfiltración (moviéndolos a una carpeta central para subirlos a infraestructura controlada por el atacante). Un SIEM puede identificar esta actividad inusual de archivos y alertar a analistas humanos. EDR puede aislar el endpoint infectado mientras ITDR restablece las credenciales del usuario en todo el entorno. Para alertas de alta confianza y alto riesgo (como cifrado activo), las herramientas de seguridad deben ser capaces de interrumpir el ataque automáticamente. Una vez contenido el atacante, los analistas pueden usar registros para rastrear su actividad, ver qué tocó y asegurarse de que no haya puertas traseras ocultas que permitan una reinfección.

Toda buena estrategia de defensa contra ransomware debe evitar estas trampas comunes.

Enfocarse solo en la prevención

Con la superficie de ataque descentralizada y en constante expansión, y la creciente sofisticación de las amenazas, enfocarse solo en la prevención ya no es suficiente. Un firewall no evitará que un empleado caiga en un correo hiperpersonalizado de su administrador de TI pidiéndole restablecer su contraseña.

Si no tienes un plan para lo que sucede después de que el atacante entra, quedas prácticamente indefenso una vez que se abre la puerta principal.

Tratar los respaldos como la estrategia completa

Aunque tener respaldos inmutables asegura la continuidad operativa frente a un ataque de ransomware, no te protegerá de la doble extorsión. En la mayoría de los ataques de ransomware modernos, los actores de amenazas copian tus datos antes de cifrarlos. Incluso si restauras desde los respaldos, el atacante puede amenazar con filtrar los números de seguro social de tus empleados o tus secretos comerciales en la dark web a menos que pagues. En un ataque de triple extorsión, también pueden ir tras tus clientes, socios y empleados.

Desviación de configuración

Incluso tener las herramientas correctas puede ser ineficaz si no se mantienen. La seguridad no es una tarea de "configurar y olvidar". Muchas brechas ocurren porque un sistema heredado quedó sin parches o una nueva aplicación en la cloud se implementó con configuraciones "predeterminadas" (sin proteger). Sin ISPM y ESPM, estas vulnerabilidades pasan desapercibidas hasta que se explotan.

Brechas en la respuesta manual

Las organizaciones que dependen de un equipo interno de TI de "9 a 5" para responder a las alertas corren un riesgo enorme. Los atacantes suelen programar sus ataques en fines de semana, días festivos y altas horas de la noche, cuando los tiempos de respuesta manual son más lentos.

Huntress ayuda a defenderse del ransomware en varias capas, con detección en endpoints y logs, todo respaldado por un SOC experto disponible 24/7 e impulsado por IA.

• ISPM / ESPM: Refuerza de forma proactiva endpoints e identidades al identificar vulnerabilidades antes de que los atacantes puedan explotarlas.
• Managed EDR: Monitoreo continuo que busca persistencia oculta y despliega señuelos de ransomware, disparadores silenciosos que detienen el cifrado a tiempo.
• Managed ITDR ayuda a detectar y contener ataques impulsados por identidad mediante acciones como la revocación de sesiones y la deshabilitación de identidades en escenarios compatibles.
• Managed SIEM: Reduce el ruido al mostrar amenazas investigadas y facilita la investigación y el cumplimiento con la recopilación centralizada de logs. Nuestro SOC filtra el ruido para entregar solo amenazas investigadas de alta fidelidad, además de respaldar la investigación forense y el cumplimiento.
• Managed SAT: Transforma a tu personal de un punto débil en una capa de defensa, con capacitación diseñada por expertos en seguridad y en aprendizaje de adultos para una mayor retención.

Descubre hoy mismo todo el Huntress Managed Security Platform.

Más información